医療機関にシステムやサービスを提供している事業者が、ISMSの取得と3省2ガイドラインへの対応を別々のプロジェクトとして走らせる——これが最もよく見る失敗です。
結果は予測できます。規程が二重になり、リスク一覧が二重になり、委託先評価表が二重になります。現場は同じことを2回記録し、どちらかが更新されないまま放置されます。1年後には、どちらの文書が正本なのか誰も分からなくなっています。
この2つは別々に扱う必然性がありません。ISMSは「情報セキュリティを運用する仕組み」を、3省2ガイドラインは「医療情報を扱うこの分野で何に配慮すべきか」を扱います。 前者を土台にして後者を上に載せる構造にすれば、作る文書は大幅に減ります。
本記事では、ガイドラインの構造を押さえたうえで、ISMS文書との対応関係を表にし、二重管理を避ける文書設計と、医療機関向け説明資料の作り方を整理します。
免責：本記事は一般的な情報提供です。3省2ガイドラインの解釈・適用は厚生労働省・経済産業省・総務省の公表資料が、規格の要求事項は規格本文および認定機関・審査機関の公表資料が正本です。個別の対応範囲は契約先医療機関および専門家とご確認ください。
二重管理はなぜ起きるのか
原因は3つあります。
1. 着手のタイミングがずれている
ISMSは「取引条件として求められたから」、ガイドライン対応は「特定の医療機関との商談で求められたから」と、別々のきっかけで始まります。担当者も違えば、支援に入る外部も違います。結果として、それぞれが自己完結した文書セットを作ります。
2. 「対応した」の基準が違う
ISMSには認証という明確なゴールがありますが、3省2ガイドラインには認証制度がありません。「どこまでやれば対応したと言えるのか」が曖昧なため、医療機関から質問が来るたびに新しい文書を作る、という行動になりがちです。
3. 文書の読み手が違う
ISMS文書の読み手は審査員と自社の従業者です。ガイドライン対応文書の読み手は医療機関の担当者です。読み手が違うため別文書が要る、という判断は一見もっともらしく見えます。しかし中身が同じなら、正本を1つにして表現だけ変えれば足ります。
この3点目が統合設計の鍵です。**「正本は1つ、出力は複数」**という構造にできるかどうかで、その後の運用負荷が決まります。
3省2ガイドラインの構造｜医療機関側と事業者側
統合の前に、対象となるガイドラインの構造を正確に押さえます。「3省2ガイドライン」は通称で、2つの文書群を指します。
| 呼称 | 所管 | 名宛人 |
|---|---|---|
| 医療情報システムの安全管理に関するガイドライン | 厚生労働省 | 医療機関等（病院・診療所・薬局など） |
| 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン | 経済産業省・総務省 | 事業者（システム・サービスの提供者） |
医療機関側＝厚労省、事業者側＝経産省・総務省という役割分担で読むと整理しやすくなります。事業者が直接向き合うのは経産省・総務省のガイドラインですが、顧客である医療機関が厚労省ガイドラインで何を求められているかを知らないと、説明資料が的を外します。
厚生労働省のガイドラインは現在 第6.0版（2023年5月改定）で、4編構成になっています。
| 編 | 想定読者 |
|---|---|
| 概説編 | 全体像を把握する人 |
| 経営管理編 | 医療機関の意思決定者・経営層 |
| 企画管理編 | システムの管理者 |
| システム運用編 | システムを実際に扱う運用者 |
対象は「全ての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者」とされ、病院・クリニック・歯科医院・薬局など規模や種類を問いません。2025年5月には厚生労働省から第6.0版に関するQ&Aが公表されています。同じく2025年5月14日には「医療機関等におけるサイバーセキュリティ対策チェックリスト」とそのマニュアルが公表され、クラウド環境・BCP・IoT・BYODへの言及が加わりました。
事業者にとって重要なのは、このチェックリストが医療機関の手元にあるということです。 医療機関は自院の対応状況を点検する過程で、委託先である事業者にも確認を投げてきます。チェックリストの項目に答えられる形で自社の説明資料を用意しておくと、やり取りが一往復で済みます。ガイドラインの基礎は 3省2ガイドラインとは、実務ステップは 対応の実務ステップ をご覧ください。
ISMS文書と事業者側ガイドライン要求の対応表
ここが本記事の中核です。事業者側のガイドラインが求める論点を分類し、ISMSのどの文書がそれに応えるかを整理します。
| 事業者に求められる論点 | ISMS側の受け皿となる文書 | 追加で必要なもの |
|---|---|---|
| 医療情報の取扱いに関する方針の明示 | 情報セキュリティ方針 | 医療情報を扱う旨を明記した対外向けの方針文 |
| 経営層の関与・責任体制 | 体制図、マネジメントレビュー議事録 | 医療機関向けの体制説明資料（1枚） |
| 取り扱う医療情報の特定 | 情報資産台帳 | 医療情報の分類基準を台帳の分類に追加 |
| リスクの特定と対応 | リスクアセスメント表、リスク対応計画 | 医療分野固有の脅威（診療停止、患者への影響）を評価軸に追加 |
| 技術的な安全管理措置 | 適用宣言書（SoA）、各種運用規程 | ガイドライン要求との対応列をSoAに追加 |
| 責任分界の明確化 | 委託契約、運用規程 | 責任分界表（医療機関／事業者／クラウド事業者の3列） |
| 委託・再委託の管理 | 外部委託先管理規程、評価記録 | 再委託先まで含めた一覧を医療機関へ開示できる形にする |
| データの保存場所・準拠法・裁判管轄 | 情報資産台帳、契約 | 所在地一覧（本番・バックアップ・ログ・監視） |
| アクセス制御・認証 | アクセス制御規程、権限台帳 | そのまま流用可 |
| ログ・監査証跡 | ログ管理規程、取得記録 | 保存期間と提供可否を医療機関へ明示 |
| 可用性・事業継続 | 事業継続手順、バックアップ手順 | RTO／RPOの提示、復旧訓練の実施記録 |
| インシデント対応と医療機関への報告 | インシデント対応手順 | 医療機関への連絡ルートと時間の約束を手順に追記 |
| 従業者の教育 | 教育計画・受講記録 | 医療情報の取扱いに関する回を教育計画に追加 |
| 契約終了時のデータ返還・廃棄 | 廃棄手順 | 返還形式・期限・証明方法を契約と手順に明記 |
| 医療機関への説明・開示 | （ISMSに直接の対応なし） | 開示文書一式。本記事後半で扱う |
表を見ると分かるとおり、多くの論点はISMSで作る文書がそのまま受け皿になり、追加で必要なのは「医療分野の観点を1列足す」か「医療機関向けに出力を作る」かのどちらかです。ゼロから作り直す必要があるものは、開示文書一式くらいしかありません。
とくに効率がよいのが、適用宣言書にガイドライン要求との対応列を足す方法です。SoAは93の管理策それぞれについて採否と理由を書く文書ですから、そこに「この管理策が応えているガイドラインの論点」を1列追加すれば、1つの表で規格と分野要求の両方を説明できます。SoAの書き方は 適用宣言書（SoA）の書き方、管理策の全体像は 附属書A 2022年版｜93管理策と4テーマの全体像 をご覧ください。
二重管理を避ける文書設計
対応表を作ったら、文書体系そのものを組み直します。原則は3つです。
原則1：正本は1つ。派生資料は正本から生成する
同じ内容を2つの文書に書かないことを徹底します。リスク一覧はリスクアセスメント表が正本、責任分界は運用規程が正本、というように決め、医療機関向け資料はそこから抜き出して作ります。派生資料には「本資料は◯◯（正本）に基づく」と明記しておくと、改定時の追随漏れを防げます。
原則2：ガイドライン対応を「別の文書セット」にしない
ガイドライン対応のために新しい規程を作りたくなりますが、ほとんどの場合は既存規程への追記で足ります。新規に必要になるのは、次の3点程度です。
- 医療情報取扱方針（対外向け。医療情報を扱う事業者としての基本姿勢）
- 責任分界表（医療機関／事業者／クラウド事業者）
- ガイドライン対応表（要求論点と自社対応の一覧。上の対応表がそのまま使える）
原則3：更新のトリガーを一本化する
ISMSのマネジメントレビューと内部監査に、ガイドライン対応の見直しを組み込みます。ガイドラインの改定、医療機関からの新しい要求、インシデント——これらをISMSの是正処置・継続的改善のプロセスに流し込むことで、別途の見直しサイクルを持たずに済みます。
文書体系の全体設計は ISMS文書体系｜何をどこまで作るか をご覧ください。SaMDや治験システムを扱う企業では、QMSやER/ES対応の文書も重なります。同じ「共通層＋個別層」の考え方で整理できるので、SaMDとISMS・QMS（ISO 13485）の関係 と 治験・臨床研究システムのISMSとER/ES指針 も参考になります。マルチテナントSaaSの分離設計は 医療SaaSのISMS で扱っています。
医療機関向け説明資料をISMS文書から作る
最後に、実務でいちばん時間を取られる部分です。医療機関からの要求は、おおむね次の形で来ます。
- セキュリティチェックシートへの回答（医療機関ごとに様式が違う）
- ガイドライン準拠状況の説明資料
- 責任分界の確認
- 導入時の打ち合わせでの説明と議事録
- 監査・訪問の要求
これらに個別対応していると、契約数の増加に工数が比例します。ISMS文書を正本として、次の5点を標準パッケージとして用意しておくのが現実的な解です。
| 資料 | 元になるISMS文書 | 分量の目安 |
|---|---|---|
| ① 認証書と適用範囲の説明 | 適用範囲定義 | 1枚 |
| ② セキュリティ概要書 | SoA、各運用規程、リスク対応計画 | 10〜20ページ |
| ③ ガイドライン対応表 | SoAのガイドライン対応列 | 1〜3ページ |
| ④ 責任分界表 | 運用規程、委託契約 | 1〜2ページ |
| ⑤ チェックシート標準回答 | ②③④の内容を設問形式に変換 | 設問数による |
②のセキュリティ概要書が中心です。 分離方式、暗号化、アクセス制御、ログ、バックアップとRTO／RPO、インシデント対応と連絡ルート、データの所在、委託先——医療機関が聞きたいことをこの1本に集約します。これがあると、チェックシートの回答は「該当ページを参照」で埋まる項目が大幅に増えます。
①の適用範囲の説明を軽視しないでください。 医療機関は認証書の登録範囲を見ます。そこに運用・保守が含まれていなければ追加質問が来ます。範囲の設計段階からこれを見越しておく必要があります（ヘルスケア企業のISMS適用範囲設計）。
また、導入時の打ち合わせ議事録は、後から効いてくる資料です。 医療機関側は「事業者からこういう説明を受けた」という記録を必要としています。説明した内容と、双方で合意した責任分界を議事録に残しておくと、インシデント発生時の整理が格段に楽になります。医療機関側の視点は ベンダーへのセキュリティチェックシート と 責任分界点の決め方 をご覧ください。
まとめ
ISMSと3省2ガイドラインを統合するうえでの要点は次のとおりです。
- 二重管理の原因は、着手時期のずれ・「対応した」の基準の曖昧さ・読み手の違い。読み手が違っても中身が同じなら、正本を1つにして出力を変える
- ガイドラインは医療機関側＝厚労省（第6.0版・4編構成）、事業者側＝経産省・総務省という役割分担で読む。医療機関が何を求められているかを知らないと説明資料が的を外す
- 事業者側の論点の多くは、ISMS文書がそのまま受け皿になる。追加は「医療分野の観点を1列足す」か「医療機関向けに出力を作る」かのどちらか
- 適用宣言書にガイドライン対応列を足すのが最も効率がよい。1つの表で規格と分野要求の両方を説明できる
- 新規に必要な文書は医療情報取扱方針・責任分界表・ガイドライン対応表の3点程度。見直しはISMSのマネジメントレビューと内部監査に組み込む
- 医療機関向けには標準パッケージ5点を用意する。中心はセキュリティ概要書。認証書の登録範囲に運用・保守が含まれているかも見られている
ポテックは、ISMSドキュメントと3省2ガイドライン対応文書の統合をオプションとして提供しています（3省2ガイドライン対応 150万円〜）。用意する文書は最小限に抑え、求められる技術的対策はISMSとリンクさせる方針で、導入時の医療機関とのコミュニケーション（議事録作成）、開示文書・リスク対応一覧の作成まで支援します。進め方の目安は着手から約4か月です。
支援内容と料金は ISMS認証取得支援サービス を、個別のご相談は お問い合わせ をご覧ください。ISMS全体の見取り図は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にあります。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版｜厚生労働省
- 経済産業省
- 総務省
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
※ガイドラインは改定されます。求められる対応の範囲・粒度は提供するサービスの性質と契約先医療機関の判断により異なります。最新の内容は各省庁の公表資料をご確認ください。